Ostatnio mieliśmy sytuację, w której kilka programów antywirusowych (Kaspersky, Quttera, McAfee, Norton Safe Web, Bitdefender i kilka mniej znanych) zaczęło blokować naszą stronę. Badanie sytuacji doprowadziło mnie do zrozumienia, że trafienie na listę zablokowanych jest niezwykle proste — wystarczy kilka skarg (nawet bez uzasadnienia). Szczegóły można znaleźć poniżej.
Problem jest dość poważny, ponieważ niemal każdy użytkownik ma zainstalowany program antywirusowy lub zaporę sieciową. Blokada strony przez duży program antywirusowy, taki jak Kaspersky, może uczynić stronę niedostępną dla wielu użytkowników. Chciałbym zwrócić uwagę społeczności na ten problem, ponieważ otwiera on ogromne możliwości dla nieczystych metod walki z konkurencją.
Nie będę podawał linku do samej strony ani wskazywał firmy, aby nie było to odebrane jako jakaś forma reklamy. Powiem tylko, że strona działa zgodnie z prawem, firma ma rejestrację działalności gospodarczej, a wszystkie dane są dostępne na stronie.
Ostatnio otrzymaliśmy skargi od klientów, że nasza strona jest blokowana przez Kaspersky jako phishingowa. Liczne kontrole z naszej strony nie wykazały jakichkolwiek problemów na stronie. Złożyłem wniosek za pośrednictwem formularza na stronie Kaspersky o fałszywe alarmy antywirusowe. W wyniku czego otrzymaliśmy odpowiedź:
Sprawdziliśmy link, który przesłałeś.
Informacje zawarte w linku stwarzają zagrożenie utraty danych użytkowników, fałszywe alarmy nie zostały potwierdzone.
Nie otrzymaliśmy żadnych potwierdzeń, że strona stwarza zagrożenie. W trakcie dalszych zapytań otrzymaliśmy następującą odpowiedź:
Sprawdziliśmy link, który przesłałeś.
Ten domenę został dodany do bazy w związku ze skargami użytkowników. Link zostanie wykluczony z baz antyphishingowych, ale włączono monitoring na wypadek kolejnych skarg.
Stąd wynika, że wystarczającym powodem do blokady jest sam fakt posiadania jakichkolwiek skarg. Strona jest prawdopodobnie blokowana, jeśli było więcej niż pewna liczba skarg, a żadne potwierdzenie skargi nie jest wymagane.
W naszym przypadku, cyberprzestępcy wysłali szereg skarg. I do naszego centrum danych, i do kilku programów antywirusowych, oraz na takie serwisy, jak phishtank. Na phishtank skargi zawierały tylko link do strony i wskazanie, że strona jest phishingowa. I to wszystko, żadne potwierdzenia nie zostały podane.
Wygląda na to, że można zablokować niepożądane strony po prostu spamując skargami. Może nawet istnieją jakieś usługi, które oferują takie możliwości. Jeśli ich nie ma, z pewnością wkrótce się pojawią, biorąc pod uwagę łatwość wpisywania stron do baz niektórych programów antywirusowych.
Chciałbym usłyszeć komentarze od przedstawicieli Kaspersky’ego. Również ciekawią mnie opinie tych, którzy sami napotkali ten problem i jak szybko udało im się go rozwiązać. Może ktoś doradzi metody prawne działania w takich sytuacjach. Dla nas sytuacja spowodowała straty reputacyjne i finansowe, nie wspominając już o czasie straconym na rozwiązanie problemu.
Chciałbym zwrócić jak największą uwagę na tę sytuację, ponieważ każda strona internetowa jest w grupie ryzyka.
Uzupełnienie.
W komentarzach podano link do ciekawego posta od HerrDirektor. na ten temat. Zacytuję go:
Powiem więcej – chcecie za 10 minut stworzyć problemy prawie każdej stronie internetowej (oprócz dużych, znanych i rozpoznawalnych)?
Witamy na phishtank.
Rejestrujemy 8-10 kont (potrzebny będzie tylko email do potwierdzenia), wybieramy interesującą nas stronę, dodajemy ją z jednego konta do bazy Phishtank (dla utrudnienia życia właścicielowi można w formularzu dodać jakieś zdjęcie z reklamą gejowskiego porno z karłami).
Pozostałymi kontami głosujemy na phishing, aż dostaniemy wiadomość „This is phish site!”.
Gotowe. Siedzimy i czekamy. Choć dla potwierdzenia sukcesu można dodać również http:// i https:// oraz z ukośnikiem na końcu i bez ukośnika, albo z dwoma ukośnikami. A jeśli macie jeszcze więcej czasu, można też dodać linki na stronie. Po co? A właśnie po to:Po 6-12 godzinach Avast przeszukuje i pobiera dane. Po 24-48 godzinach dane rozprzestrzeniają się po wszystkich „antywirusach” – Comodo, Bit Defender, Clean MX, CRDF, CyRadar… Skąd potem dane czerpie ten nieszczęsny VirusTotal.
Oczywiście, NIKT nie sprawdza wiarygodności danych, wszyscy mają to głęboko gdzieś.I w rezultacie, większość „antywirusowych” rozszerzeń przeglądarek, darmowych programów antywirusowych i innego oprogramowania zaczyna w różnoraki sposób ostrzegać o wskazanej stronie, od czerwonych tabliczek po pełnoprawne strony informujące, że strona jest strasznie niebezpieczna i wejście na nią grozi śmiercią.
Aby uporządkować te stajnie Augiasza, trzeba było pisać do wsparcia technicznego każdego z tych "antywirusów". Na KAŻDĄ linkę! Avast reaguje dość szybko, reszta po prostu ignoruje znaną organizację.
Ale nawet jeśli gwiazdy się zbiegną i uda się oczyścić stronę z baz danych antywirusów, "mega-zasób" virustotal całkowicie się tym nie przejmuje. Nie ma cię w bazie phishtank? Nic nie szkodzi, kiedyś byłeś, będziemy pokazywać, co jest. Nie ma cię w bit defender? Żaden problem, i tak pokażemy, że byłeś.
W związku z tym, każde oprogramowanie lub usługa polegająca na virustotal, przez wieki będzie pokazywać, że na stronie jest źle. Można długo i metodycznie walczyć z tym biednym zasobem i może uda się wyjść. Ale może też się nie udać.
* Wśród tych, którzy blokują stronę, znajduje się nawet dostawca usług fortinet. I nadal nie udało nam się usunąć strony z niektórych list stron phishingowych.
* To mój pierwszy post na Habra. Niestety, wcześniej byłem tylko czytelnikiem, ale obecna sytuacja zmotywowała mnie do napisania posta.
Źródło: habr.com
